Onderzoekers van cyberbeveiligingssoftwarebedrijf Check Point hebben een kwetsbaarheid in de Rarible NFT-markt geïdentificeerd. Honderdduizenden van de grofweg twee miljoen actieve maandelijkse gebruikers zouden hun NFT's kwijt zijn als de hacker deze had uitgevoerd.
Verantwoorde openbaarmaking van Check Point
“Een succesvolle aanval zou afkomstig zijn van een kwaadaardige NFT binnen de marktplaats van Rarible zelf, waar gebruikers minder achterdochtig zijn en minder vertrouwd zijn met het indienen van transacties”, aldus Check Point Research.
Het probleem met de functie “setApprovalForAll”, onderdeel van de NFT EIP-721-standaard, is dat deze de volledige controle over de NFT-activa aan een andere partij geeft. Phishing-aanvallen kunnen worden ontworpen om de bezittingen van hun slachtoffers te stelen. Ze kunnen hen ervan overtuigen een transactieverzoek te ondertekenen dat eruit ziet alsof het van een legitieme bron komt.
Vanwege een beveiligingsprobleem in Rarible konden gebruikers mediabestanden tot 100 MB uploaden zonder ze te controleren op mogelijk schadelijke inhoud. Onderzoekers van Check Point hebben dit probleem uitgebuit door een SVG-afbeelding te maken die een kwaadaardige JavaScript-payload bevatte.
Het systeem voert een code uit als het doel op de NFT-afbeelding of de IPFS-link klikt. Activeer daarom een transactieverzoek in hun browser. Als het doel de details van de transactie niet begrijpt, kan hij of zij het verzoek goedkeuren. Hiermee heeft de aanvaller toegang tot zijn volledige verzameling. De aanvaller zou vervolgens de actie ‘transferFrom’ gebruiken om de NFT’s te stelen en deze over te zetten naar hun portemonnee. Merk op dat deze actie niet-omkeerbaar is.
Het platform CPR bracht Rarible op 5 april op de hoogte van het probleem. Het bedrijf erkende het probleem onmiddellijk en loste het op.
NFT-diefstal is een bedreiging
Oded Vanunu, een beveiligingsonderzoeker bij Check Point Software, zei dat het bedrijf geïnteresseerd raakte in deze aanval nadat de Taiwanese zanger Jay Chou slachtoffer werd. Chou's BoredApe #3738 NFT werd begin februari via een snode transactie gestolen.
“Toen we eenmaal zagen dat deze NFT was gestolen, stimuleerde dit ons om verder onderzoek te doen”, zei Vanunu. Hij voegde er ook aan toe dat een dergelijke kwetsbaarheid op veel andere platforms mogelijk zou kunnen zijn. De kwetsbaarheid werd snel verholpen door Rarible, waardoor de mogelijkheid om SVG-bestanden te uploaden werd verwijderd. Het beëindigde de kwaadaardige NFT-aanvalsoptie, voegde Vanunu eraan toe.
Volgens Vanunu had elke gebruiker op het platform een beveiligingsfout kunnen veroorzaken. Hij schatte echter niet in hoeveel er verloren had kunnen gaan. Een soortgelijke aanval op de portemonnee van Arthur Cheong resulteerde in het verlies van meer dan $ 1.86 miljoen. Daarom moeten gebruikers altijd zorgvuldig zijn bij het goedkeuren van verzoeken op NFT-platforms. Ze moeten waar mogelijk ook de verzoektracker van Etherscan gebruiken.
De noodzaak om uw bezittingen te beschermen
Het is belangrijk op te merken dat dit probleem niet uniek is voor Rarible, aangezien Check Point vorig jaar een soortgelijke fout op OpenSea ontdekte. Het probleem met de NFT-transactiestandaard is dat deze het voor activahouders moeilijk maakt om de authenticiteit ervan vast te stellen.
Daarom moet u alles wat u wordt gevraagd te ondertekenen zorgvuldig onderzoeken om er zeker van te zijn wat het inhoudt. Onderteken ook niets als u niet zeker weet wat het inhoudt. Het wordt aanbevolen dat gebruikers hun eerdere tokengoedkeuringen bekijken en de goedkeuringen die frauduleus lijken intrekken met behulp van deze tokengoedkeuringscontrole.
Vanwege de aard van deze aanvallen kan het langer duren voordat ze zijn voltooid en kunnen ze de overdracht van activa beïnvloeden. Naarmate de blockchain-technologie zich blijft ontwikkelen, moeten beleggers voorzichtiger zijn bij het beschermen van hun activa.
Open Zee verkeert in problemen
Volgens twee eisers slaagde OpenSea er niet in de beveiligingsproblemen aan te pakken waardoor hackers niet-fungibele tokens (NFT's) konden stelen. Het onvermogen om deze problemen aan te pakken veroorzaakte honderdduizenden dollars aan schade.
Een andere gebruiker klaagde dat OpenSea de verantwoordelijkheid bij zijn gebruikers legt om hun NFT's te beschermen. Het komt terwijl de NFT-scene nog steeds wordt geplaagd door oplichting en fraude.
De rechtszaken die door de twee eisers tegen OpenSea zijn aangespannen, zouden een precedent kunnen scheppen met betrekking tot de behandeling van NFT-gerelateerde claims. Bij gebrek aan een gecentraliseerde autoriteit zal het rechtssysteem nuttig zijn bij de behandeling van deze zaken.
Bron: https://crypto.news/rarible-nft-marketplace-vulnerability-check-point/